CISA alerta para exploração de falha zero-day no Ivanti Connect Secure
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) recomendou que organizações atualizem seus appliances Ivanti Connect Secure após a exploração ativa da vulnerabilidade CVE-2026-104935. A falha permite contornar a autenticação remotamente e executar comandos no equipamento, o que pode abrir caminho para o roubo de credenciais e a extração de dados.
O alerta foi emitido em 13 de outubro de 2026, quando a agência incluiu a vulnerabilidade em seu catálogo de falhas conhecidas e exploradas. A orientação se aplica às versões 25.1.1.1 e anteriores, 25.1.2.2 e anteriores, além da série 22.8R2.4 e suas versões anteriores. Como o procedimento correto varia conforme o appliance seja físico, virtual ou baseado em nuvem, a CISA recomenda consultar as instruções de segurança e migração da Ivanti antes de iniciar a atualização.
Ataques começaram antes da divulgação
A investigação da empresa de segurança Volexity aponta que um grupo de ameaças desconhecido, identificado como UTA0576, começou a explorar as falhas em 3 de outubro. Dois dias depois, pesquisadores analisaram uma atividade suspeita e a associaram a um Ivanti Connect Secure que executava a versão 22.8R2.4 – considerada totalmente atualizada naquele momento.
A intrusão combinou diferentes vulnerabilidades. Os atacantes contornaram a autenticação, exploraram uma falha de envio de arquivos para executar código e recorreram a uma terceira brecha para elevar privilégios. Em conjunto, essas etapas permitiram obter acesso root, o nível de controle mais elevado no equipamento. A Ivanti classifica os componentes de bypass de autenticação e execução remota de código sob a CVE-2026-104935.
Depois de comprometer o appliance, os invasores procuraram credenciais de domínio armazenadas, consultaram o Active Directory e buscaram senhas de administradores locais e chaves de recuperação do BitLocker. A análise também identificou tentativas de password spraying – método que testa uma mesma senha contra várias contas -, reconhecimento da rede e buscas por credenciais em tráfego capturado.
Por que a detecção pode ser difícil
A CISA alertou que o Integrity Checker, ferramenta da Ivanti destinada a verificar a integridade do equipamento, pode não revelar indícios dessa atividade. Segundo a Volexity, parte dos comandos maliciosos era executada na memória. Os invasores também modificaram código de bibliotecas em memória, desfizeram alterações de configuração e apagaram seletivamente registros para dificultar a investigação.
Os pesquisadores não encontraram um web shell nem um backdoor usado para manter o acesso. Em vez disso, o invasor repetia a cadeia de exploração e recebia os resultados dos comandos em respostas HTTPS. Por esse motivo, a verificação não deve se limitar aos arquivos do appliance: a análise do tráfego de rede e da memória também pode ser importante para identificar sinais de comprometimento.
A Ivanti disponibilizou, em 13 de outubro, correções para o bypass de autenticação e a falha de execução de código. Na ocasião em que a pesquisa foi publicada, o reparo para a vulnerabilidade separada de escalada de privilégios ainda estava em desenvolvimento. A recomendação é instalar a atualização já disponível sem aguardar a correção adicional.
Como agir diante de uma possível invasão
Antes de iniciar a recuperação, a CISA orienta fazer uma cópia de segurança da configuração do appliance. Se houver suspeita de comprometimento, a organização deve restaurar o equipamento às configurações de fábrica e instalar a versão mais recente. Em ambientes virtuais e na nuvem, a recomendação é reconstruir e atualizar a implantação antes de restaurar uma configuração salva.
A recuperação também precisa contemplar os segredos que possam ter sido expostos. Isso inclui redefinir senhas de domínio, contas administrativas e usuários locais; revogar e emitir novamente certificados armazenados; e renovar chaves de API e credenciais de servidores de licença. Aplicar apenas o patch não elimina o risco de que informações capturadas durante a invasão continuem válidas.
Como medida adicional, equipes de segurança devem avaliar se o appliance estava acessível pela internet e identificar quem tinha acesso administrativo. A revisão de registros de autenticação, conexões incomuns e consultas ao Active Directory pode ajudar a estabelecer o alcance do incidente. Também é importante verificar se contas ou sistemas associados ao equipamento apresentam atividade suspeita.
Organizações que usam appliances da mesma família devem confirmar, uma a uma, a versão instalada e o método de atualização apropriado. Atualizar um equipamento sem considerar as diferenças entre implantações físicas, virtuais e em nuvem pode não seguir o procedimento recomendado pelo fabricante. A validação após a instalação deve confirmar que a versão corrigida está ativa.
Se credenciais foram armazenadas no dispositivo ou podem ter passado por ele, a troca deve ser coordenada com os responsáveis pelos sistemas dependentes. Alterar senhas e chaves sem atualizar serviços que as utilizam pode interromper operações; por outro lado, adiar a rotação mantém possíveis segredos roubados em circulação. O inventário de contas, certificados e integrações ajuda a conduzir esse processo de forma ordenada.
Por fim, a resposta deve registrar as etapas executadas, os sistemas reconstruídos e os segredos revogados. Manter evidências disponíveis antes da restauração, quando isso for possível sem prolongar a exposição, pode apoiar a análise posterior. Diante de uma falha explorada ativamente e de técnicas capazes de apagar vestígios, a correção técnica e a investigação do possível comprometimento precisam caminhar juntas.